Google Spain SL and Google Inc. v Agencia Española de Protección de Datos (AEPD) and Mario Costeja González.

• Jurisdiction: European Union
• ECLI: ECLI:EU:C:2013:424
• Date: 25 June 2013
• Celex Number: 62012CC0131
• Court: Court of Justice (European Union)
• Procedure Type: Reference for a preliminary ruling
• Docket Number: C‑131/12

CONCLUSIONS DE L’AVOCAT GÉNÉRAL

M. NIILO JÄÄSKINEN

présentées le 25 juin 2013 ( 1 )

Affaire C‑131/12

Google Spain SL

Google Inc.

contre

Agencia Española de Protección de Datos (AEPD)

Mario Costeja González

[demande de décision préjudicielle formée par l’Audiencia Nacional (Espagne)]

«World Wide Web — Données à caractère personnel — Moteur de recherche sur Internet — Directive 95/46/CE sur la protection des données à caractère personnel — Interprétation des articles 2, sous b) et d), 4, paragraphe 1, sous a) et c), 12, sous b), et 14, sous a) — Champ d’application territorial — Notion d’établissement sur le territoire d’un État membre — Champ d’application rationae materiae — Notion de traitement de données à caractère personnel — Droit au verrouillage et à l’effacement des données — ‘Droit à l’oubli’ — Charte des droits fondamentaux de l’Union européenne — Articles 7, 8, 11 et 16»

I – Introduction

1. En 1890, dans leur article fondateur de la Harvard Law Review, «The Right to Privacy» ( 2 ), Samuel D. Warren et Louis D. Brandeis déploraient que les «inventions et méthodes commerciales récentes», telles que les «photographies instantanées et la presse, aient envahi l’enceinte sacrée de la vie privée et domestique». Dans ce même article, ils évoquaient «les prochaines mesures à prendre pour la protection de la personne».

2. Aujourd’hui, la protection des données à caractère personnel et de la vie privée des individus prend une importance croissante. Tout contenu, y compris des données à caractère personnel, qu’il s’agisse de textes ou de matériaux audiovisuels, peut, au format numérique, être rendu accessible, dans le monde entier, de manière instantanée et permanente. L’Internet a révolutionné nos vies en éliminant les barrières techniques et institutionnelles à la diffusion et à la réception des informations, et a créé une plate-forme pour différents services de la société de l’information. Ces innovations bénéficient aux consommateurs, aux entreprises et à la société en général. Elles ont donné lieu à une situation sans précédent, dans laquelle un équilibre doit être trouvé entre plusieurs droits fondamentaux, tels que la liberté d’expression, la liberté d’information et la liberté d’entreprise, d’une part, et la protection des données à caractère personnel et de la vie privée des individus, d’autre part.

3. S’agissant d’Internet, il convient de distinguer trois situations afférentes aux données à caractère personnel. La première est la publication d’éléments de données à caractère personnel sur n’importe quelle page web de l’Internet ( 3 ) (ci‑après la «page web source») ( 4 ). La deuxième concerne le cas dans lequel un moteur de recherche sur Internet fournit des résultats de recherche qui dirigent l’utilisateur Internet vers la page web source. La troisième opération, moins visible, survient lorsqu’un internaute effectue une recherche en utilisant un moteur de recherche sur Internet et que certaines de ses données à caractère personnel, telles que l’adresse IP à partir de laquelle la recherche est effectuée, sont automatiquement transférées chez le fournisseur de services de moteur de recherche sur Internet ( 5 ).

4. S’agissant de la première situation, la Cour a déjà jugé, dans son arrêt du 6 novembre 2003, Lindqvist (C-101/01, Rec. p. I-12971), que la directive 95/46/CE ( 6 ) (ci-après la «directive sur la protection des données à caractère personnel» ou la «directive») y était applicable. La troisième situation n’est pas en cause dans la présente affaire, et des procédures administratives engagées par des autorités nationales de protection des données sont en cours pour préciser la portée des règles du droit de l’Union en matière de protection des données aux utilisateurs des moteurs de recherche sur Internet ( 7 ).

5. L’ordonnance de renvoi dans la présente affaire concerne la deuxième situation. Elle a été présentée par l’Audiencia Nacional (Cour nationale, Espagne) dans le cadre d’un litige entre Google Spain SL et Google Inc. (ci-après, individuellement ou conjointement, «Google»), d’une part, et l’Agencia Española de Protección de Datos (ci-après l’«AEPD») et M. Mario Costeja González (ci‑après la «personne concernée»), d’autre part. La procédure concerne l’application de la directive sur la protection des données à caractère personnel à un moteur de recherche que Google exploite en tant que fournisseur de services. Dans la procédure nationale, il est constant que certaines données à caractère personnel relatives à la personne concernée ont été publiées par un journal espagnol dans deux de ses éditions papier en 1998, qui ont toutes deux fait l’objet d’une republication ultérieure dans une version électronique mise à disposition sur Internet. La personne concernée estime aujourd’hui que cette information ne devrait plus être diffusée dans les résultats de recherche présentés par le moteur de recherche sur Internet exploité par Google lorsqu’une recherche est faite à partir de son prénom et de ses noms.

6. Les questions déférées à la Cour relèvent de trois catégories ( 8 ). Le premier groupe de questions concerne le champ d’application territorial des dispositions du droit de l’Union sur la protection des données à caractère personnel. Le deuxième groupe traite des questions relatives à la situation juridique d’un fournisseur de services exploitant un moteur de recherche sur Internet ( 9 ) à la lumière de la directive, notamment au regard de son champ d’application ratione materiae. Enfin, la troisième question concerne le droit à l’oubli et le point de savoir si les personnes concernées peuvent demander que tout ou partie des résultats de recherche les concernant ne soient plus accessibles au moyen du moteur de recherche. Aucune de ces questions, qui soulèvent également d’importants problèmes touchant à la protection des droits fondamentaux, n’a encore été examinée par la Cour.

7. C’est apparemment la première affaire dans laquelle la Cour est appelée à interpréter la directive dans le contexte d’un moteur de recherche sur Internet; c’est une question qui semble d’actualité pour les autorités nationales en matière de protection des données et les juridictions des États membres. De fait, la juridiction de renvoi a indiqué que plusieurs affaires similaires étaient actuellement pendantes devant elle.

8. L’affaire antérieure la plus importante dont ait été saisie la Cour au sujet de problèmes relatifs à la protection des données et à l’Internet est celle ayant donné lieu à son arrêt Lindqvist ( 10 ). Cette affaire ne concernait toutefois pas les moteurs de recherche sur Internet. La directive a elle-même été interprétée dans un certain nombre d’arrêts. Parmi ceux-ci, les arrêts Österreichischer Rundfunk e.a. ( 11 ), Satakunnan Markkinapörssi et Satamedia ( 12 ), et Volker und Markus Schecke et Eifert ( 13 ) sont particulièrement importants. Le rôle des moteurs de recherche sur Internet dans le cadre des droits de propriété intellectuelle et de la compétence juridictionnelle a également été examiné par la Cour dans ses arrêts Google France et Google, Portakabin, L’Oréal e.a., Interflora et Interflora British Unit, et Wintersteiger ( 14 ).

9. Depuis l’adoption de la directive, une disposition sur la protection des données à caractère personnel a été insérée à l’article 16 TFUE et à l’article 8 de la charte des droits fondamentaux de l’Union européenne (ci-après la «Charte»). Au surplus, la Commission européenne a fait en 2012 une proposition de règlement général sur la protection des données à caractère personnel ( 15 ), en vue de le substituer à la directive. Le présent litige doit toutefois être réglé sur la base du droit existant.

10. La présente demande préjudicielle est marquée par le fait que, lorsque la Commission a présenté sa proposition de directive en 1990, l’Internet, au sens actuel du World Wide Web, n’existait pas, et il n’y avait pas non plus de moteurs de recherche. À l’époque de l’adoption de la directive, en 1995, l’Internet venait à peine d’être lancé et les premiers moteurs de recherche rudimentaires commençaient à apparaître, mais nul ne pouvait prévoir que le monde s’en trouverait si profondément bouleversé. Aujourd’hui, presque toute personne équipée d’un smartphone ou d’un ordinateur peut être considérée comme se livrant à des activités sur l’Internet, à laquelle la directive pourrait potentiellement s’appliquer.

II – Cadre juridique

A – La directive sur la protection des données à caractère personnel

11. L’article 1er impose aux États membres d’assurer, conformément à la directive, la protection des libertés et droits fondamentaux des personnes physiques, notamment de leur vie privée, à l’égard du traitement des données à caractère personnel.

12. L’article 2 définit notamment les notions de «données à caractère personnel» et de «personne concernée», de «traitement de données à caractère personnel», de «responsable du traitement» et de tiers.

13. Conformément à son article 3, la directive s’applique au traitement de données à caractère personnel, automatisé en tout ou en partie, ainsi qu’au traitement non automatisé de données à caractère personnel.

14. En vertu de l’article 4, paragraphe 1, chaque État membre applique les dispositions nationales qu’il arrête en vertu de la directive aux traitements de données à caractère personnel lorsque le traitement est effectué dans le cadre des activités d’un établissement du responsable du traitement sur son territoire, ou, si le responsable du traitement n’est pas établi sur le territoire de l’Union, lorsqu’il recourt, à des fins de traitement de données à caractère personnel, à des moyens...